| 目录 | /etc/profile.d/ |
|---|---|
| 触发 | login shell 启动时按文件名顺序 source |
核查
核查
ls -lt --time-style=long-iso /etc/profile.d/ | head
grep -Rn 'curl\|wget\|base64\|/tmp/' /etc/profile.d/脚本内容只做阅读与哈希，不要在排查过程中手动 source。
全局登录脚本（/etc/profile.d）
登录时会执行 /etc/profile.d/*.sh，写入这里的命令对所有用户生效，是隐蔽性较高的持久化位置。
易错点
- 非登录 shell 不会读 profile.d，日志里看不到执行痕迹
- 发行版自带脚本较多，需与基线清单对比后再判定
数据来源与参考
- GNU Bash 手册（login shell 启动文件）